身分驗證

在 Kubernetes 部署中設定登入方式：OIDC、SAML、LDAP、公開存取、reCAPTCHA 與密碼規則。

所有登入方式都在每個 Ayakaleaf Pro pod 的 web 服務中執行。這些方式都不需要額外的 pod 或定期工作，且都將登入狀態保存在 Redis 的工作階段中，因此無論使用一個或多個副本，運作方式都相同。在 Kubernetes 上的差異在於設定、密鑰與憑證放在哪裡，以及必須開放哪些網路路徑：

方式	Secret overleaf-secrets	Secret overleaf-certs	Pod 必須能連線至
OIDC	OVERLEAF_OIDC_CLIENT_SECRET	您的 CA（若為私有）	OP 的 token 與 userinfo 端點
SAML	–	IdP 憑證、Overleaf 自己的金鑰	不需要：訊息經由瀏覽器傳遞
LDAP	OVERLEAF_LDAP_BIND_CREDENTIALS	LDAP CA（若為私有）	LDAP 伺服器
公開存取	SMTP 密碼，用於啟用電子郵件	–	SMTP 伺服器
reCAPTCHA	RECAPTCHA_SECRET_KEY、DEVICE_HISTORY_SECRET	–	www.google.com（或 RECAPTCHA_ENDPOINT）
密碼限制	–	–	–

EXTERNAL_AUTH 用於啟用 SSO 方式，在 ConfigMap 中以空格分隔的清單表示，例如 EXTERNAL_AUTH: ldap oidc。帳號以及啟用 SSO 後使用者可以變更的項目，與 Toolkit 上相同，請參閱身分驗證。

某個方式的設定錯誤並不會阻止 pod 進入就緒狀態：web 會在 /var/log/overleaf/web.log 中記錄 error setting up passport in modules，而該方式以及依 ldap、saml、oidc 順序排在其後的方式都會維持關閉。每次變更後請檢查日誌。我們以 EXTERNAL_AUTH: saml oidc 搭配缺少的 IdP 憑證進行測試：pod 進入就緒狀態，但在修正憑證路徑之前，/saml/login 與 /oidc/login 都回應「Something went wrong」（500）。

OIDC 身分驗證

SAML 身分驗證

LDAP 身分驗證

公開存取

reCAPTCHA

密碼限制